API Gateway:Plugin jwt-auth

Configuración de autenticación

A continuación se describen los campos de cada elemento en consumers.

• A continuación se describen los campos de cada elemento en from_headers.

  Nombre	Tipo de dato	Obligatorio	Valor predeterminado	Descripción
  name	string	Obligatorio	-	El encabezado de solicitud del cual se extrae el JWT.
  value_prefix	string	Obligatorio	-	El prefijo que se elimina del valor del encabezado. La parte restante se trata como el JWT.

• En esta tabla se detallan los campos de cada elemento en claims_to_headers.

  Nombre	Tipo de dato	Obligatorio	Valor predeterminado	Descripción
  claim	string	Obligatorio	-	Un campo específico del payload del JWT. El valor debe ser una cadena o un entero sin signo.
  header	string	Obligatorio	-	El encabezado de solicitud que se llena con el valor del claim extraído y se reenvía al backend.
  override	bool	Opcional	true	Si es true, sobrescribe el encabezado de solicitud cuando tiene el mismo nombre. Si es false, agrega el valor como un encabezado de solicitud duplicado.

• La siguiente tabla describe los campos de cada elemento en remote_jwks.

  Nombre	Tipo de dato	Obligatorio	Valor predeterminado	Descripción
  uri	string	Obligatorio	-	La URL de la solicitud.
  service	string	Obligatorio	-	Ejemplo para un servicio de Kubernetes: foo.default.svc.cluster.local. Ejemplo para un servicio de Nacos: foo.DEFAULT-GROUP.public.nacos. Para un servicio DNS llamado test, introduzca test.dns. Para un servicio de IP estática llamado test, introduzca test.static.
  port	bool	Obligatorio	-	El puerto del servicio.
  timeout	bool	Opcional	3000	El tiempo de espera de la solicitud al servicio, en milisegundos.
  ttl	bool	Opcional	30000	La duración de la caché, en milisegundos.

Configuración de autorización (opcional)

Configurar la autenticación global y la autorización a nivel de ruta

Este ejemplo habilita la autenticación JWT global a nivel de instancia y restringe el acceso a nivel de ruta para consumidores específicos.

consumers:
- name: consumer1
  issuer: abcd
  jwks: |
    {
      "keys": [
        {
          "kty": "oct",
          "kid": "123",
          "k": "hM0k3AbXBPpKOGg__Ql2Obcq7s60myWDpbHXzgKUQdYo7YCRp0gUqkCnbGSvZ2rGEl4YFkKqIqW7mTHdj-bcqXpNr-NOznEyMpVPOIlqG_NWVC3dydBgcsIZIdD-MR2AQceEaxriPA_VmiUCwfwL2Bhs6_i7eolXoY11EapLQtutz0BV6ZxQQ4dYUmct--7PLNb4BWJyQeWu0QfbIthnvhYllyl2dgeLTEJT58wzFz5HeNMNz8ohY5K0XaKAe5cepryqoXLhA-V-O1OjSG8lCNdKS09OY6O0fkyweKEtuDfien5tHHSsHXoAxYEHPFcSRL4bFPLZ0orTt1_4zpyfew",
          "alg": "HS256"
        }
      ]
    }
- name: consumer2
  issuer: abc
  jwks: |
    {
      "keys": [
        {
          "kty": "RSA",
          "e": "AQAB",
          "use": "sig",
          "kid": "123",
          "alg": "RS256",
          "n": "i0B67f1jggT9QJlZ_8QL9QQ56LfurrqDhpuu8BxtVcfxrYmaXaCtqTn7OfCuca7cGHdrJIjq99rz890NmYFZuvhaZ-LMt2iyiSb9LZJAeJmHf7ecguXS_-4x3hvbsrgUDi9tlg7xxbqGYcrco3anmalAFxsbswtu2PAXLtTnUo6aYwZsWA6ksq4FL3-anPNL5oZUgIp3HGyhhLTLdlQcC83jzxbguOim-0OEz-N4fniTYRivK7MlibHKrJfO3xa_6whBS07HW4Ydc37ZN3Rx9Ov3ZyV0idFblU519nUdqp_inXj1eEpynlxH60Ys_aTU2POGZh_25KXGdF_ZC_MSRw"
        }
      ]
    }

allow:
- consumer1

allow:
- consumer2

Habilitar a nivel de instancia de puerta de enlace pero deshabilitar para una ruta específica

Configure el plugin a nivel de instancia de la siguiente manera:

global_auth: true
consumers:
- name: consumer1
  issuer: abcd
  jwks: |
    {
      "keys": [
        {
          "kty": "oct",
          "kid": "123",
          "k": "hM0k3AbXBPpKOGg__Ql2Obcq7s60myWDpbHXzgKUQdYo7YCRp0gUqkCnbGSvZ2rGEl4YFkKqIqW7mTHdj-bcqXpNr-NOznEyMpVPOIlqG_NWVC3dydBgcsIZIdD-MR2AQceEaxriPA_VmiUCwfwL2Bhs6_i7eolXoY11EapLQtutz0BV6ZxQQ4dYUmct--7PLNb4BWJyQeWu0QfbIthnvhYllyl2dgeLTEJT58wzFz5HeNMNz8ohY5K0XaKAe5cepryqoXLhA-V-O1OjSG8lCNdKS09OY6O0fkyweKEtuDfien5tHHSsHXoAxYEHPFcSRL4bFPLZ0orTt1_4zpyfew",
          "alg": "HS256"
        }
      ]
    }
- name: consumer2
  issuer: abc
  jwks: |
    {
      "keys": [
        {
          "kty": "RSA",
          "e": "AQAB",
          "use": "sig",
          "kid": "123",
          "alg": "RS256",
          "n": "i0B67f1jggT9QJlZ_8QL9QQ56LfurrqDhpuu8BxtVcfxrYmaXaCtqTn7OfCuca7cGHdrJIjq99rz890NmYFZuvhaZ-LMt2iyiSb9LZJAeJmHf7ecguXS_-4x3hvbsrgUDi9tlg7xxbqGYcrco3anmalAFxsbswtu2PAXLtTnUo6aYwZsWA6ksq4FL3-anPNL5oZUgIp3HGyhhLTLdlQcC83jzxbguOim-0OEz-N4fniTYRivK7MlibHKrJfO3xa_6whBS07HW4Ydc37ZN3Rx9Ov3ZyV0idFblU519nUdqp_inXj1eEpynlxH60Ys_aTU2POGZh_25KXGdF_ZC_MSRw"
        }
      ]
    }

Para la ruta route-b, configure el plugin de la siguiente manera:

_disable_: true

En este ejemplo, route-b es el nombre de ruta introducido al crear la ruta de la puerta de enlace. Dado que _disable_ se estableció en true, el plugin se deshabilita cuando una solicitud coincide con esta ruta. No se ejecuta ninguna autenticación JWT y se permite el acceso a todos los usuarios.

Para las solicitudes que no coinciden con la ruta route-b, se ejecuta la autenticación JWT porque global_auth se estableció en true a nivel de instancia. Tanto consumer1 como consumer2 tienen permitido el acceso.

Habilitar a nivel de nombre de dominio pero deshabilitar para una ruta específica

Configure el plugin a nivel de instancia de la siguiente manera:

consumers:
- name: consumer1
  issuer: abcd
  jwks: |
    {
      "keys": [
        {
          "kty": "oct",
          "kid": "123",
          "k": "hM0k3AbXBPpKOGg__Ql2Obcq7s60myWDpbHXzgKUQdYo7YCRp0gUqkCnbGSvZ2rGEl4YFkKqIqW7mTHdj-bcqXpNr-NOznEyMpVPOIlqG_NWVC3dydBgcsIZIdD-MR2AQceEaxriPA_VmiUCwfwL2Bhs6_i7eolXoY11EapLQtutz0BV6ZxQQ4dYUmct--7PLNb4BWJyQeWu0QfbIthnvhYllyl2dgeLTEJT58wzFz5HeNMNz8ohY5K0XaKAe5cepryqoXLhA-V-O1OjSG8lCNdKS09OY6O0fkyweKEtuDfien5tHHSsHXoAxYEHPFcSRL4bFPLZ0orTt1_4zpyfew",
          "alg": "HS256"
        }
      ]
    }
- name: consumer2
  issuer: abc
  jwks: |
    {
      "keys": [
        {
          "kty": "RSA",
          "e": "AQAB",
          "use": "sig",
          "kid": "123",
          "alg": "RS256",
          "n": "i0B67f1jggT9QJlZ_8QL9QQ56LfurrqDhpuu8BxtVcfxrYmaXaCtqTn7OfCuca7cGHdrJIjq99rz890NmYFZuvhaZ-LMt2iyiSb9LZJAeJmHf7ecguXS_-4x3hvbsrgUDi9tlg7xxbqGYcrco3anmalAFxsbswtu2PAXLtTnUo6aYwZsWA6ksq4FL3-anPNL5oZUgIp3HGyhhLTLdlQcC83jzxbguOim-0OEz-N4fniTYRivK7MlibHKrJfO3xa_6whBS07HW4Ydc37ZN3Rx9Ov3ZyV0idFblU519nUdqp_inXj1eEpynlxH60Ys_aTU2POGZh_25KXGdF_ZC_MSRw"
        }
      ]
    }

Para la ruta route-b, configure el plugin de la siguiente manera:

_disable_: true

Para el nombre de dominio *.example.com, configure el plugin de la siguiente manera:

allow:
- consumer1
- consumer2

En este ejemplo, route-b es el nombre de ruta introducido al crear la ruta de la puerta de enlace. Como _disable_ se estableció en true, el plugin se deshabilita cuando una solicitud coincide con esta ruta. No se ejecuta ninguna autenticación JWT y se permite el acceso a todos los usuarios.

Además, *.example.com se usa para coincidir con el nombre de dominio de la solicitud. Cuando el nombre de dominio coincide, se permite el acceso a los llamantes con el nombre consumer1 o consumer2, mientras que se deniega al resto.

Las reglas se evalúan de forma secuencial: se aplica la primera coincidencia y no se evalúan más reglas. Las reglas de ruta tienen prioridad sobre las de nombre de dominio, por lo que puede habilitar el plugin para un nombre de dominio y deshabilitarlo para una ruta específica dentro de ese dominio.